Коротко
- Затронуты Apache HTTP Server 2.4.55–2.4.70 с включённым HTTP/2
- Брешь независимо нашли Anthropic и Google Cloud
- Wiz: уязвимы ресурсы в 64% облачных сред, публично открыты в 51%
- Эксплойта и атак пока нет; обходной путь — отключить HTTP/2
В Apache HTTP Server нашли критическую уязвимость CVE-2026-119618 в HTTP/2-модуле mod_http2. Это состояние гонки в функции assign_headers(): при параллельной работе потоков с общими ресурсами нарушается синхронизация, и память кучи можно повредить. Удалённый злоумышленник без аутентификации может добиться выполнения произвольного кода с правами процесса веб-сервера.
По данным Wiz, на момент публикации эксплойта нет, а случаев атак в реальных условиях не зафиксировано. Брешь независимо друг от друга обнаружили Anthropic и команда Google Cloud по исследованию уязвимостей.
Под удар попадают версии Apache HTTP Server с 2.4.55 по 2.4.70 при включённом HTTP/2. Исправление вышло в версии 2.4.71. Wiz оценивает, что уязвимые ресурсы есть в 64% облачных окружений, а публично доступные экземпляры — в 51%, причём конфигурация в этой оценке не учитывается.
Если обновиться сразу нельзя, временная мера — отключить HTTP/2: убрать h2 и h2c из конфигурации и оставить в директиве Protocols только http/1.1. В облаках скомпрометированный Apache может стать точкой входа для движения к соседним сервисам и метаданным облака, поэтому с патчем лучше не тянуть: после раскрытия деталей эксплойты обычно появляются быстро.
